DIVISION DE BORDEAUX
Bordeaux, le 9 avril 2018 Référence courrier : CODEP-BDX-2018-011190 Monsieur le directeur du CNPE du Blayais BP 27 - Braud-et-Saint-Louis 33820 SAINT-CIERS-SUR-GIRONDE 
Objet : Contrôle des installations nucléaires de base CNPE du Blayais Inspection n° INSSN-BDX-2018-0002 du 26/02/2018 Organisation, missions et indépendance de la filière indépendante de sûreté

## Références :

[1] Code de l'environnement, notamment son chapitre VI du titre IX du livre V ; [2] Arrêté du 7 février 2012 fixant les règles générales relatives aux installations nucléaires de base ; [3] Directive interne EDF DI 100 à l'indice 2 « Critères et modalités de déclaration et d'information à l'ASN des évènements survenus sur les installations nucléaires » ; [4] Courrier de l'ASN DEP-DCN-0317-2009 du 8 avril 2009 relatif aux modalités de classement sur l'échelle INES des évènements significatifs pour la sûreté ; [5] Fiche rapide d'analyse au titre de la sûreté de l'évènement n°41-17 du 26 mai 2017 ; [6] Fiche rapide d'analyse au titre de la sûreté de l'évènement n°73-17 du 11 septembre 2017 ; 
 [7] Directive interne EDF DI 122 « Noyau dur de vérification des CNPE » à l'indice 1 du 27 octobre 2010 ; 
 [8] Directive interne EDF DI 106 « Missions en matière de sûreté et de qualité : Structure sûreté qualité et service conduite » ; 
 [9] Note D5150NASMQMP30039.03 « Evaluation du niveau de sûreté des réacteurs du CNPE du Blayais par les ingénieurs sûreté d'astreinte ». 

## Monsieur Le Directeur,

Dans le cadre des attributions de l'Autorité de sûreté nucléaire (ASN) concernant le contrôle des installations nucléaires de base en références, une inspection a eu lieu le 26/02/2018 au centre nucléaire de production d'électricité (CNPE) du Blayais sur le thème « Organisation, missions et indépendance de la filière indépendante de sûreté». Je vous communique ci-dessous la synthèse de l'inspection ainsi que les principales demandes et observations qui résultent des constatations faites, à cette occasion, par les inspecteurs. 

## Synthese De L'Inspection

Les inspecteurs ont contrôlé, d'une part l'organisation mise en œuvre par le site pour assurer les missions de la filière indépendante de sûreté (FIS) au sein de la structure qualité sûreté (SSQ) du service qualité sûreté et prévention des risques (QSPR) dans le respect des exigences de la directive [8], et d'autre part dans quelle mesure la FIS est suffisamment écoutée et appuyée par les instances décisionnelles du site ou de l'exploitant. Les inspecteurs ont dans un premier temps vérifié la gestion pluriannuelle des effectifs et des compétences de la FIS. Ils ont vérifié dans quelle mesure la SSQ et la direction répondent aux conclusions de l'évaluation globale d'excellence (EGE) menée par vos services centraux en 2017. Ils ont vérifié que la SSQ peut mener à bien ses missions d'analyses d'évènements quotidiens survenus sur le CNPE. Ils ont vérifié comment la direction du CNPE prend en compte leurs recommandations. Ils ont ensuite vérifié comment l'ingénieur sûreté (IS) d'astreinte effectue de manière journalière sa mission de vérification de l'état de sûreté d'un réacteur en salle de commande et ont assisté à la confrontation de l'ingénieur sûreté avec le chef d'exploitation (CE) sur l'état de sûreté du réacteur. Cette évaluation de sûreté s'appuie sur les analyses indépendantes et redondantes du CE puis de l'IS qui, au regard de leurs expertises, se prononcent sur la disponibilité des fonctions de sûreté des réacteurs (réactivité, refroidissement, confinement, fonctions support). A l'issue de ce contrôle, les inspecteurs estiment que l'évaluation de sûreté du réacteur et la confrontation entre le CE et l'IS ont été menées conformément à votre référentiel. Ils considèrent, au vu du contrôle réalisé par sondage, que l'organisation mise en place sur le CNPE permet à la FIS 
d'assurer ses missions, conformément au référentiel. Les inspecteurs ont noté positivement l'augmentation du nombre d'examens critiques d'évènements survenus sur le CNPE entre 2016 et 2017 portés par les fiches rapides d'analyse (FRA). Auparavant la FIS se contentait d'établir des pré-analyses sans ouvrir de FRA de manière systématique, ce que vous avez entrepris de corriger. Ils notent que la FIS effectue désormais une revue à posteriori deux fois par an de ces examens, et notent positivement la tenue de comités auxquels participent de façon active la direction et le collectif d'IS. Les inspecteurs ont néanmoins constaté, au travers de l'examen de deux analyses faites de deux évènements en 2017, que le CNPE applique de façon discutable la notion « d'erreur ponctuelle », qui consiste en une erreur d'exécution ponctuelle, involontaire et non répétitive par un intervenant compétent d'un geste opérationnel connu, ayant fait l'objet d'une préparation rigoureuse, et pour lequel des lignes de défense appropriées existent pour prévenir les risques identifiés lors de cette opération. Ils vous demandent à vous interroger de nouveau sur les conditions d'application de la notion d'erreur ponctuelle pour les évènements survenus sur le CNPE. 

## A. Demandes D'Actions Correctives Notion D'Erreur Ponctuelle

La notion « d'erreur ponctuelle » est décrite par le paragraphe D.4 du courrier en référence [4]. Les critères pour qu'une erreur puisse être considérée comme ponctuelle sont clairement définis dans ce courrier qui sert de cadre pour la caractérisation de certains écarts au chapitre III des règles générales d'exploitation (RGE). Cette qualification est particulièrement importante car elle détermine souvent si un écart conduit ou non à la déclaration d'un évènement significatif pour la sûreté (ESS). Par ailleurs un nombre important de désaccords entre le CE et l'IS a pour origine une différence d'application de cette notion d'erreur ponctuelle. Les inspecteurs ont constaté que la notion d'erreur ponctuelle avait été retenue de façon discutable dans l'analyse de deux événements, portés par les FRA en référence [5] et [6] : 
- la FRA 41-17 [5] porte sur le débrochage par erreur de la cellule électrique d'un robinet motorisé du système de refroidissement intermédiaire du réacteur 4 RRI 177 VN par un intervenant, alors qu'il devait réaliser cette manœuvre d'exploitation sur la cellule électrique du robinet 3 RRI 177 VN. L'intervenant ne réalise pas l'activité sur le réacteur approprié, dans la mesure où la configuration de vos installations peut l'induire en erreur. 

- la FRA 73-17 [6] porte sur le débrochage de la cellule électrique de la pompe du circuit d'injection de sécurité 4 RIS 002 PO au lieu de celle de la pompe du circuit de contrôle volumétrique et chimique 4 RCV 002 PO par un intervenant. Les inspecteurs notent que dans le cas de ces deux évènements, la FIS s'est prononcée pour qu'un ESS 
soit déclaré. La direction n'a pas retenu la position de la FIS en se basant sur la position définie par le CE qui s'appuyait sur la notion d'erreur ponctuelle. Ces deux évènements, qui ont généré des écarts à l'application des RGE, n'ont pas été déclarés en tant qu'ESS sous couvert de l'erreur ponctuelle. L'application de la notion de l'erreur ponctuelle vise à considérer qu'il s'agit d'une erreur involontaire et exceptionnelle dans l'exécution par un intervenant compétent d'un geste opérationnel connu, ayant fait l'objet d'une préparation rigoureuse, et pour lequel des lignes de défense appropriées existent pour prévenir les risques identifiés lors de cette opération. 

Les IS et les CE peuvent être amenés à se positionner pour ne pas déclarer des ESS en appliquant cette notion d'erreur ponctuelle. Le courrier en référence [4] que vous avez retranscrit dans votre directive [3] vous demande de respecter obligatoirement un certain nombre de critères afin d'appliquer la notion d'erreur ponctuelle. 

Deux critères ont été particulièrement examinés dans le cadre de ces deux évènements. 

- Le premier est basé sur la mise en œuvre des pratiques de fiabilisation, que vous considérez comme des outils de performance humaine obligatoires sur le CNPE : « […] des lignes de défense, ainsi que des parades appropriées sont mises en place et ont été mises en œuvre durant la réalisation de l'opération. ». 

- Le second critère est basé sur l'absence de répétitivité de l'erreur : « l'erreur ne se produit qu'une seule fois. Si elle se reproduit, il est probable qu'il existe dans la situation de travail des éléments susceptibles d'induire en erreur, tels que par exemple des défauts d'ergonomie des locaux, d'équipements, d'outils ou de documents, ou bien des défauts de compétence ou encore dans l'organisation ». Les inspecteurs notent que, pour les deux évènements identifiés dans les FRA [5] et [6], les pratiques de fiabilisation n'ont pas été mises en œuvre par les intervenants. Ils notent que des évènements comparables se sont produits sur les dernières années et depuis 2012. Vous avez considéré qu'il n'y a pas de répétitivité de l'erreur dans la mesure où ces évènements affectent des matériels et des situations différentes. Néanmoins les inspecteurs notent des similitudes entre ces évènements et des évènements antérieurs mettant en cause la situation de travail, l'ergonomie des locaux. Ainsi au travers de l'examen des fiches FRA [5] et [6] et des analyses réalisées par des IS, il apparait que les évènements se sont répétés à plusieurs reprises sur des manœuvres d'exploitation réalisées par l'équipe de conduite et qu'à plusieurs reprises des intervenants ont confondu le réacteur sur lequel ils devaient intervenir. Les inspecteurs ont constaté que cette confusion de réacteur a pu se produire également sur une même année. 

Les inspecteurs ont eu connaissance d'une fiche d'avis sûreté rédigée par la FIS afin de mener une réflexion sur la répétitivité de l'erreur ponctuelle retenue sur plusieurs évènements, que vous avez demandé à la suite de l'arbitrage [6]. La fiche évoque que « le fait que ce soit un matériel différent (autre cellule électrique, autre organe…) ne peut pas constituer à elle seule une raison suffisante pour retenir l'erreur ponctuelle ». Les inspecteurs ont noté que dans le cas de l'analyse [6] vous avez retenu l'absence de répétitivité de l'évènement en raison du fait que ce type d'évènement s'était déjà produit sur une cellule électrique différente. L'analyse de la FIS est en contradiction avec votre analyse dans la mesure où, même s'il s'agit de deux cellules électriques différentes, les mêmes raisons ont amené deux intervenants à se méprendre sur ces deux matériels différents. En conclusion de cette fiche d'avis, la FIS suggère d'examiner de nouveau la notion de répétitivité de l'évènement en se basant sur le retour d'expérience (REX) des évènements passés des dernières années. Les inspecteurs n'ont pas connaissance des suites que vous avez données à cet avis.

A.1 : L'ASN vous demande de réexaminer votre positionnement sur la qualification en ESS des deux événements objet des FRA en référence [5] et [6] ; A.2 : L'ASN vous demande de lui faire part du REX que vous tirez de l'instruction des événements objet des FRA [5] et [6], de la fiche d'analyse complémentaire de la FIS sur l'utilisation par le site de la notion d'erreur ponctuelle dans la qualification des événements en ESS. 

## B. Demandes D'Informations Complementaires Parcours De Professionnalisation Des Nouveaux Is

Les inspecteurs ont constaté que dans le cadre de leur parcours de professionnalisation, les nouveaux IS 
recrutés sont aidés et accompagnés par des ingénieurs sûreté plus expérimentés, lesquels jouent le rôle de tuteur, sur une période de « compagnonnage ». Ils ont également eu connaissance du cahier de professionnalisation portant sur les exigences de ce compagnonnage. Vos agents ont indiqué au cours de l'inspection que si le parcours de compagnonnage a toujours été effectif afin d'aider les IS dans leur prise de poste, vous n'avez pas décliné formellement d'exigences en interne permettant de rendre ces pratiques obligatoires. Ce manque d'exigences a fait l'objet d'une observation de l'EGE au cours de l'audit en 2017. Vous avez indiqué lors de l'inspection que vous allez rendre obligatoire ce parcours de compagnonnage en le déclinant dans vos notes d'organisation. 

B.1 : L'ASN vous demande de l'informer de la mise à jour de vos notes d'organisation pour imposer de manière formelle l'exigence de mener un parcours de compagnonnage pour les nouveaux IS recrutés sur le CNPE. 

## Notion D'Is De Service

La directive [8] demande la mise en place d'un ingénieur sûreté d'astreinte de service pour un CNPE de quatre réacteurs : « L'ingénieur sûreté d'astreinte est responsable de : 
- l'évaluation quotidienne des paramètres et conditions d'exploitation ; 
- vérifications programmées ou à son initiative permettant de porter un jugement critique sur l'état de sûreté de l'installation ».

Les inspecteurs ont consulté votre note d'organisation [9]. Elle indique « Conformément à la DI106, le niveau de sûreté des installations est évalué quotidiennement par un IS d'astreinte. Cette évaluation est répartie par paires de tranches entre l'IS de service et l'IS de renfort en jours ouvrés. Le WE et les jours fériés, l'évaluation est assurée par l'IS de service qui pourra être assisté d'un IS renfort en cas de nécessité. ». A plusieurs reprises votre note d'organisation [9] introduit la notion d'un IS de service. Les inspecteurs n'ont pas pu évaluer la conformité de cette notion introduite par votre note [9] à votre directive [8], laquelle évoque un IS 
d'astreinte de service. B.2 : L'ASN vous demande de lui faire part de votre analyse sur la compatibilité de la notion d'IS de service introduite par votre note [9] avec votre directive [8]. 

## C. Observations Réalisation Du Programme Annuel De Vérifications

Les inspecteurs ont constaté que vous n'avez pas mené en 2017 l'ensemble des vérifications que la FIS 
et la direction doivent réaliser au titre de votre directive [7]. En effet trois audits approfondis de niveau 2 au sens de la directive, ayant comme objet les activités de déchargement et de chargement du combustible nucléaire dans la cuve, les activités de surveillance en salle de commande et la maitrise de la réaction nucléaire n'ont pas été réalisées en 2017. Ces vérifications consistent à vérifier de manière ponctuelle si l'ensemble des acteurs maitrisent les activités avec la rigueur et la qualité requises. Vous avez néanmoins justifié ces renoncements par les audits approfondis menés en 2017 dans le cadre de l'évaluation globale d'excellence (EGE) en interne à EDF. Les inspecteurs ont également noté que vous menez d'autres vérifications qui n'étaient pas prévues sur le programme initial de l'année 2017. 

La DI 122 [7] demande que : « les services opérationnels organisent la mise en œuvre des exigences associées aux thèmes de l'annexe 1». Une vérification sur ces activités doit être menée sur le CNPE a minima tous les deux ans. 

* * * 
Vous voudrez bien me faire part sous deux mois, des remarques et observations, ainsi que des dispositions que vous prendrez pour remédier aux constatations susmentionnées. Pour les engagements que vous prendriez, je vous demande de les identifier clairement et d'en préciser, pour chacun, l'échéance de réalisation. Enfin, conformément à la démarche de transparence et d'information du public instituée par les dispositions de l'article L. 125-13 du code de l'environnement, je vous informe que le présent courrier sera également mis en ligne sur le site Internet de l'ASN (www.asn.fr). Je vous prie d'agréer, Monsieur le directeur, l'assurance de ma considération distinguée. 

L'adjoint à la cheffe de la division de Bordeaux, signé Bertrand FREMAUX 
6/6